Другие модификации: .ac, .ahoe, .bg, .bl, .bq, .fk, .fs, .jc, .kr, .pj, .qlh, .rs, .td, .tuc, .uj, .zf

Другие названия

Trojan-Downloader.Win32.Agent.mee («Лаборатория Касперского») также известен как: Trojan-Downloader.Win32.Agent.mee («Лаборатория Касперского»).

Технические детали

Троянская программа. Является приложением Windows (PE EXE-файл). Размер зараженных файлов варьируется в пределах от 70 до 260 КБ. Ничем не упакована. Написана на Delphi.

Инсталляция

После запуска троянец копирует свое тело в подкаталог "inetsrv" системного каталога Windows под именем "lsass.exe":

%System%/inetsrv/lsass.exe

Данному файлу присваиваются атрибуты "скрытый" и "только чтение".

Для автоматического запуска при каждом следующем старте системы троянец создает ссылку на свой исполняемый файл в ключе автозапуска системного реестра:

[HKCU/Software/Microsoft/Windows NT/CurrentVersion/Windows]
"load" = "%System%/inetsrv/lsass.exe"

Таким образом троянец будет запускаться до входа пользователя в систему.

Также троянец создает в системе уникальный идентификатор «izokraSizokraS» для определения своего присутствия в системе.

Создает ключ реестра:

[HKLM/Software/Microsoft/Internet Explorer/inet.]
"Day" = "<дата запуска троянца>"

Деструктивная активность

Троянец копирует свое тело во все доступные на запись сетевые, логические и съемные диски под именем:

X:/MSOCache/90000804-6000-11D3-8CFE-0150048383C9/lsass.exe

где X - буква диска.

Так же вместе со своим исполняемым файлом троянец помещает в корень диска сопровождающий файл:

X:/autorun.inf

который запускает исполняемый файл троянца, каждый раз, когда пользователь открывает зараженный раздел при помощи программы "Проводник".

Всем созданным файлам присваиваются атрибуты "скрытый" и "только чтение".

Рекомендации по удалению

Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. При помощи ( "Диспетчера задач") завершить троянский процесс.
2. Удалить ключ системного реестра:

[HKLM/Software/Microsoft/Internet Explorer/inet.]
"Day" = "<дата запуска троянца>"

3. Удалить значение параметра ключа:

[HKCU/Software/Microsoft/Windows NT/CurrentVersion/Windows]
"load" = "%System%/inetsrv/lsass.exe"

4. Удалить оригинальный файл троянца (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
5. Удалить файлы:

%System%/inetsrv/lsass.exe
X:/MSOCache/90000804-6000-11D3-8CFE-0150048383C9/lsass.exe
X:/autorun.inf

6. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами (скачать пробную версию).

Источник: viruslist.com.

перейти в архив